リスク特定で考慮することが望ましいとされている事項｜科目A-1（応用情報技術者） 令和6年 春期午前試験 問40
出典：令和6年春期 午前 問40
分野：セキュリティ ／ 情報セキュリティ管理
JIS Q 31000:2019（リスクマネジメント－指針）において，リスク特定で考慮することが望ましいとされている事項はどれか。
- ア：結果の性質及び大きさ
- イ：残留リスクが許容可能かどうかの判断
- ウ：資産及び組織の資源の性質及び価値
- エ：事象の起こりやすさ及び結果
TSUNAGARU-ADVICE
まず押さえたいこと
JIS Q 31000:2019のリスク特定では、どのような資産や資源があり、それらにどのような価値があるかといった、リスクの原因や影響対象を把握するための情報を考慮します。リスクを漏れなく洗い出すための段階と捉えると分かりやすいです。
迷ったときの判断軸
「事象の起こりやすさ」や「結果の大きさ」は、主にリスク分析で評価する観点です。また、残留リスクを受容できるかどうかの判断はリスク評価やリスク対応後の判断に関係します。リスク特定では、まず何がリスク源・対象になり得るかを洗い出すことに注目しましょう。
科目Bにつなげるために
特にプロフェッショナルデジタルスキル（マネジメント）試験合格を目指す方は、リスクマネジメントをリスク特定 → リスク分析 → リスク評価 → リスク対応の流れで整理しましょう。各段階で何を確認・判断するのかを区別できると、実務的なリスク管理にもつながります。
JIS Q 31000:2019では、リスクマネジメントのプロセスとして、リスク特定・リスク分析・リスク評価・リスク対応などを行います。
このうちリスク特定は、「どのようなリスクが存在するのか」を見つけ、認識し、記述する段階です。リスク源・原因や事象・脅威や機会・脆弱性・資産や組織資源の性質・価値などを考慮することが望ましいとされています。
選択肢ウの「資産及び組織の資源の性質及び価値」は、リスク特定で考慮する事項に含まれます。
したがって、ウが適切です。
❌他選択肢が誤りの理由ア：結果の性質及び大きさ
⇒「結果の性質及び大きさ」は、特定したリスクがどの程度の影響を及ぼすかを詳しく調べるリスク分析で検討する事項です。
イ：残留リスクが許容可能かどうかの判断
⇒残留リスクが許容できるかどうかを判断することは、リスクへの対応後に残るリスクを踏まえて、対応の妥当性などを判断する場面に関係します。リスクを洗い出す「リスク特定」の事項ではありません。
エ：事象の起こりやすさ及び結果
⇒「事象の起こりやすさ及び結果」は、リスクの発生可能性や影響を検討するリスク分析で考慮する事項です。